2026년 10월 21일 오후부터 밤까지 발생한 일입니다. 국내 웹 서비스들이 연이어 유지보수 화면으로 전환되었습니다. BASE, Kodomon, pixiv, Nico Nico, Sakura Internet의 일부 서비스들이 해당됩니다.
이는 웹사이트의 뒤에서 작동하는 프로그래밍 언어 PHP의 취약성 때문입니다. [1]
PHP 개발팀은 전날인 20일, 취약점 2건의 수정 사항을 예고했습니다. 심각도는 모두 9.2 (CVSS v4.0)입니다.
번호는 CVE-2026-109618과 109619로, 통칭 “PHP2Shell”입니다. 로그인 없이 외부에서 서버상의 코드가 실행될 위험이 있습니다.
수정판 공개 예정은 일본 시간 21일 23시였습니다. 그러나 20일 중에, 숨겨져 있던 CVE 번호가 해외 게시판에 게시되면서, 수정이 나오기 전에 해당 취약점의 존재가 널리 알려졌습니다.[3]
같은 날, 해외에서도 사이트는 멈추고 있었습니다. 다만, 멈추는 방식을 비교하면, 일본과 해외에서는 상당히 다릅니다.
가장 먼저 다뤄야 할 것
PHP의 긴급 대응으로 서비스를 중단한 것은 일본뿐만이 아니었습니다. 유럽에서는 정부나 공공기관의 사이트가 중단되었고, 일본에서는 민간 소비자용 서비스가 두드러졌습니다.
또한, 멈춰버린 조직은 아직 관리하고 있는 단계입니다. 정말 위험한 것은 수정되지 않은 오래된 PHP 상태로, 아무도 알아채지 않고 작동하는 서버들입니다. 그 수량으로 보면 일본은 세계 상위권에 랭크되어 있습니다.
유럽에서는, 주의를 환기시키는 측이 자신의 사이트를 멈추었다.
네덜란드에서는 국가 사이버 보안 기관 NCSC가 예방 조치로 자국의 웹사이트를 중단했습니다.[4] 행정 포털 MijnOverheid, 전자 인증 DigiD, 하원의 웹사이트도 일시 중단되었습니다.[5]
ロイ터의 보도에 따르면, 핀란드의 발토리(Valtori)도 정부 관련 서비스를 중단했습니다. 발토리(Valtori)는 정부의 IT 기반을 담당하는 조직으로, 예방 조치 차원에서 중단되었습니다.
덴마크에서는 지방자치단체용 IT 기업인 Kombit이 전국 학교 연락 기반 서비스 포함된 서비스를 중단했습니다. 프랑스 내무부는 시청 등 웹사이트를 일시적으로 중단했습니다. [6]
틀리기 쉬운 점은, EU가 중단을 명령했다는 뜻이 아니라는 점입니다.
유럽연합 기관인 CERT-EU에서 조언을 제공했습니다. 즉시 수정이 불가능하다면, 인터넷과의 연결을 끊는 것을 고려해 달라고 요청했습니다. 중단할지 결정한 것은 각국의 기관들이었습니다.
호주 역시 유사한 구도를 보였습니다. 호주 사이버 보안 센터(ACSC)는 최고 수준의 경보를 발령하고 있습니다. 자체 웹사이트 cyber.gov.au 또한 영향을 받은 정부 사이트에도 포함되었으며, 이에 대한 보고가 있습니다.[7]
일본에서는 총리가 “멈춘다”는 선택지를 언급했습니다.
국내에서 중단을 알린 조직은 보안 정보를 모아 놓은 블로그 “피요로그”가 정리 작업을 진행하고 있습니다. 21일 22시 30분까지 확인된 결과, 54개 조직의 중단 알림이 있었습니다. 중단 범위는 서비스 전체, 관리 화면 등 일부, 자사 웹사이트 등 다양했습니다. [8]
21시 55분에는 고위례 총리가 X(엑스)에서 성명을 발표했습니다. “수정 패치를 신속하게 적용하기 어려운 경우, 예를 들어 웹사이트 등을 일시적으로 중단시키는 것도 위험을 줄이는 효과적인 방법 중 하나로 간주됩니다.”[9]
유럽에서는 기술 기관이 조건부 자문을 제시했으며, 현장에서 각자가 판단했습니다. 일본에서는 정부 수장이 오늘 밤의 대응을 직접 요구했습니다.
여기서는 제 생각입니다. 똑같이 “그만둬도 괜찮아”라고 해도, 누가 말하는지에 따라 받아들이는 사람의 무게는 달라집니다. 민간이 일제히 멈춘 배경에는 이러한 무게도 있었을 거라고 생각합니다.
영어 및 미국 방침은 “수정한다”가 우선이고, “멈춘다”는 마지막이다.
영국의 NCSC(국가 사이버 보안 센터)의 지침은 다음과 같은 순서를 따릅니다. 우선 업데이트를 하고, 다음으로 임시 완화 조치를 적용하며, 그래도 효과가 없을 경우 중단을 고려한다는 것입니다. [10]
그럼에도 불구하고 현장에서는 중단 결정이 내려졌습니다. 영국에서는 에든버러와 옥스포드 시의회 웹사이트가 중단된 것으로 보도되고 있습니다. 런던 경찰청 웹사이트 역시 마찬가지입니다. [11]
미국은 기관 간에 온도 차이가 있었습니다. CISA(미국 사이버 보안 정보 센터)는 즉각적인 업데이트를 요구하면서, 공표된 시점까지 악용 사례는 확인하지 않았다고 밝혔습니다.[12] 반면 NSA(미국 국가안보국)는 즉시 업데이트가 불가능하다면 시스템을 오프라인으로 전환하도록 권고했습니다.[13]
기업 측에서는 서버 전에 공격을 막는 수단도 활용했습니다. 클라우드플레어는 공개된 9시간 전에 방어 규칙을 배포했다는 보도가 있었습니다. [14]
ただ、このルールの位置づけは限定的です。ロイターによれば、CloudflareのCTO自身が「stopgap（つなぎ）」と述べています。WAFは時間を買う道具で、修正の代わりにはなりません。[6]
判断が割れた日、見立ても割れていた
止めるか直すかで迷える時間は、長くありません。watchTowrは、修正版の公開とほぼ同じ時刻に、攻撃の試みを観測したと報告しています。成功例はまだないとしつつ、それが長く続くとは見ていません。[14]
一方で、CISAやHuntressは、この時点で悪用の成功を確認していませんでした。専門家の見立ては、同じ日に割れていたわけです。[15]
ここも私の見方です。悪用が確認されてから止めるのか、確認される前に止めるのか。日本の民間と欧州の公共機関は、後者を選んだと読んでいます。
止めた組織は、まだ管理できている側です
止めるかどうかを議論できたのは、自社のどこでPHPが動いているかを知っていた組織です。
セキュリティ企業Malloryは20日、ネットに公開されたPHPホストを数えました。バージョンを返す約150万台のうち、約88万4,000台が8.1以前で、59%にあたります。
PHPの公式な修正リリースは8.2以降だけです。7.4〜8.1には最小限のソースパッチが出ましたが、それより古い版には何も出ていません。[16][2]
国別では、修正版の出ないホストが最も多いのは米国で、中国、日本、ドイツと続きます。メンテナンス画面を出したサービスの裏で、公式の修正が届かないサーバーが国内にも相当数残っています。[17]
もう一つの落とし穴があります。
WordPressの自動更新では、この修正は入りません。セキュリティ企業Wordfenceがそう警告したと報じられています。PHPはWordPressの下で動いているので、サーバーを管理する人が更新する必要があります。[6]
今週やること
自社のサイトが止まらなかったなら、対応済みだったからか、誰も気づいていないからかを確かめてください。
- 公開しているサーバー、コンテナ、機器のPHPのバージョンを、実際に動いているプロセスで確認する
- 更新したら、PHP-FPMやApacheを再起動する。再起動するまで古いコードが動き続ける
- 8.1以前は、ベンダーの修正提供を確認するか、外部から切り離す
- 止める前に公開していた時間帯に、不審なファイルや不審なアカウントが増えていないか確かめてから戻す
オランダの機関が自分のサイトをすぐ止められたのは、止める手順を持っていたからでもあります。誰が止めると決め、どこで止め、どう戻すか。今回の夜の記憶が新しいうちに、文書にしておくことをすすめます。
出典
[1] ビジネス+IT「【高市総理も注意喚起】インターネット崩壊危機？PHP重大脆弱性でWebサイト緊急停止」（2026年10月22日）https://www.sbbit.jp/article/cont1/187672[2] The Hacker News「PHP2Shell: Two Unpatched Critical PHP RCE Flaws (CVSS 9.2) Trigger Emergency Security Alert」（2026年10月21日）https://thehackernews.com/2026/10/php2shell-two-unpatched-critical-php.html[3] Infosecurity Magazine「Critical PHP Vulnerabilities Leaked Ahead of Scheduled Security Patches」（2026年10月）https://www.infosecurity-magazine.com/news/critical-php-vulnerabilities-leaked/[4] TPO（2026年10月21日）https://tpo.nl/2026/10/21/php2shell-websites-offline-digid-ncsc/[5] Techzine「Serious vulnerabilities in PHP, emergency patches on the way」（2026年10月21日）https://www.techzine.eu/news/security/145148/serious-vulnerabilities-in-php-emergency-patches-on-the-way/[6] Safeguard「PHP2Shell: Why Governments Took Websites Offline on 21 October」（ロイター報道の整理、2026年10月21日）https://safeguard.sh/resources/blog/governments-take-websites-offline-over-php2shell[7] Insurance Business Asia「Critical global website flaw sparks alerts across Asia-Pac as attacks begin」https://www.insurancebusinessmag.com/asia/news/cyber/critical-global-website-flaw-sparks-alerts-across-asiapac-as-attacks-begin-594447.aspx[8] piyolog「修正予告されたPHPの2件の深刻な脆弱性についてまとめてみた」（2026年10月21日）https://piyolog.hatenadiary.jp/entry/2026/10/21/174516[9] INTERNET Watch（2026年10月21日）https://internet.watch.impress.co.jp/docs/news/2150203.html[10] UK NCSC「Critical security issue affecting PHP」https://www.ncsc.gov.uk/news/critical-security-issue-affecting-php[11] Insurance Business UK「UK councils and Met Police among sites pulled offline after NCSC alert」https://www.insurancebusinessmag.com/uk/news/cyber/uk-councils-and-met-police-among-sites-pulled-offline-after-ncsc-alert-594424.aspx[12] CISA「Critical Vulnerabilities in PHP Require Immediate Patching」（2026年10月21日）https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching[13] NSA「NSA Advisory: PHP Updates」https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4630238/nsa-advisory-php-updates/[14] SecurityWeek「PHP2Shell Patches Land as First Exploitation Attempts Hit Sensors」https://www.securityweek.com/php2shell-patches-land-as-first-exploitation-attempts-hit-sensors/amp/[15] CyberScoop「PHP releases emergency fixes for 2 critical vulnerabilities」https://cyberscoop.com/php-emergency-patches-php2shell-vulnerabilities/[16] Help Net Security「PHP2Shell: Critical PHP vulnerabilities patched, update now!」（2026年10月21日）https://www.helpnetsecurity.com/2026/10/21/php2shell-php-vulnerabilities-patched-cve-2026-109618-cve-2026-109619/[17] CybelAngel「2.24M Internet-Facing PHP Hosts, 59% on Versions With No Fix Coming」（2026年10月21日）https://cybelangel.com/blog/critical-php-rce-vulnerabilities-cve-2026-109618-and-cve-2026-109619/
출처: note 원문
번역: Gemma 3(.44) 초벌 + 교정 검수
원문 보기 | 출처: note.com